V5.2.1 Sanitization and Sandboxing

Requirement:

Verify that all untrusted HTML input from WYSIWYG editors or similar is properly sanitized with an HTML sanitizer library or framework feature. (C5)

Explanation:

Убедитесь, что весь недоверенный HTML-код, из визуальных редакторов (WYSIWYG), должным образом нейтрализуется с помощью библиотеки санитайзера или функционала HTML-фреймворка.

Remediation:

Устранение этой проблемы заключается в правильной очистке всех ненадежных входных данных HTML из редакторов WYSIWYG или аналогичных. Этого можно добиться с помощью библиотеки санитайзера средств HTML или функции платформы. Библиотека санитайзера средств HTML или функция платформы могут помочь удалить любое вредоносное содержимое из ненадежных входных данных HTML, например теги сценария, опасные атрибуты и другие элементы, которые могут представлять угрозу безопасности.

Вот пример того, как использовать библиотеку DOMPurify для очистки ввода HTML в JavaScript:

var DOMPurify = require('dompurify');

var dirtyHTML = '<p>This is some <b>bold</b> text.</p><script>alert("Danger!");</script>';

var sanitizedHTML = DOMPurify.sanitize(dirtyHTML);

console.log(sanitizedHTML);

// Output: <p>This is some <b>bold</b> text.</p>

В этом примере метод DOMPurify.sanitize используется для очистки входных данных dirtyHTML. Метод возвращает строку очищенного HTML, которую затем можно безопасно использовать в приложении.

Additional:

https://cwe.mitre.org/data/definitions/116.html